Identiti Ejen AI: Soalan yang Dilangkau oleh Setiap Syarikat

Jawapan ringkasnya: apabila anda menjalankan ejen AI di dalam syarikat anda, ia memerlukan identitinya sendiri, sama seperti pekerja memerlukan akaun. Amalan biasa hari ini — menanam kunci API statik terus di dalam ejen supaya ia boleh mencapai sistem anda — ialah perkara paling berbahaya yang boleh anda lakukan, kerana kunci itu tidak pernah tamat tempoh, tiada siapa yang tahu siapa yang menggunakannya, dan ia tidak boleh dibatalkan dengan cepat apabila anda perlu. Pendekatan yang betul ialah memberi setiap ejen identiti berdaftar, kebenaran yang terhad skopnya, dan token jangka pendek yang tamat tempoh secara automatik.

Itulah tepatnya yang diumumkan oleh Okta, salah satu vendor pengurusan identiti terbesar di dunia, pada 24 Ogos 2026, melalui keupayaan baharu bernama Agent SSO. Ideanya kelihatan mudah di permukaan tetapi kesannya mendalam: daftarkan ejen AI sebagai identiti kelas pertama di dalam direktori syarikat, bersama pekerja manusia, supaya ia tertakluk kepada alat yang sama untuk memberi, memantau dan membatalkan akses.

Mengapa soalan ini menjadi mendesak sekarang

Sepanjang dua tahun lalu, AI perusahaan beralih daripada "bot yang menjawab soalan" kepada "ejen yang melakukan kerja". Ejen hari ini membuka CRM anda, membaca pesanan, mengemas kini rekod inventori, menghantar mesej kepada pelanggan, malah mungkin menyediakan invois. Setiap langkah itu bermakna log masuk ke sistem sebenar yang menyimpan data sebenar.

Masalahnya, alat keselamatan kebanyakan syarikat dibina di atas satu andaian: bahawa sesiapa yang log masuk ke sistem ialah manusia. Satu angka yang ketara yang dipetik oleh Okta dalam pengumumannya menggambarkan jurang ini: hanya 34% organisasi menggunakan kawalan keselamatan yang sama ke atas ejen AI seperti yang mereka gunakan ke atas pekerja manusia. Dengan kata lain, kira-kira dua pertiga syarikat menjalankan entiti automatik di dalam sistem mereka tanpa tahap tadbir urus yang sama.

Apabila ejen tidak mempunyai identiti yang jelas, masalah bertimbun dan semuanya daripada jenis yang sama: anda tidak tahu berapa banyak ejen yang beroperasi di dalam perniagaan anda, anda tidak tahu siapa yang membenarkan setiap satu, anda tidak dapat menjawab soalan mudah juruaudit — "siapa yang melakukan tindakan ini?" — dan anda tiada satu butang pun untuk ditekan bagi menghentikan ejen yang telah tersasar.

Apakah sebenarnya yang dilakukan oleh Agent SSO

Perkhidmatan ini berjalan di atas protokol terbuka bernama Cross App Access (XAA), lanjutan kepada piawaian OAuth yang biasa, yang telah diterima pakai sebagai sambungan kebenaran rasmi yang diurus oleh perusahaan untuk MCP — protokol yang telah menjadi bahasa bersama antara ejen dan sistem. Ringkasnya, apabila ejen AI yang menyokong protokol ini cuba menyambung kepada salah satu aplikasi perniagaan anda, perkara berikut berlaku:

  • Pendaftaran: ejen direkodkan sebagai identiti bernama dalam direktori syarikat, bukan sebagai kunci tanpa nama.
  • Kebenaran: ia menerima token akses jangka pendek yang tamat tempoh secara automatik, dan bukannya kunci statik yang tersimpan dalam fail konfigurasi.
  • Tadbir urus: pentadbir mengurus kebenaran ejen dari konsol yang sama yang digunakan untuk kebenaran pekerja.
  • Pembatalan serta-merta: akses ejen boleh diputuskan dengan satu tindakan sebaik sahaja tingkah lakunya kelihatan salah.

Yang menarik, Okta menjadikan Agent SSO sebahagian daripada tawaran log masuk tunggal terasnya tanpa kos tambahan — isyarat bahawa ia mahu corak ini tersebar sebagai piawaian dan bukannya menjualnya sebagai ciri premium. Pengumumannya juga menamakan syarikat yang bekerjasama dengannya dalam pendekatan ini, antaranya Anthropic, Atlassian, Slack, Notion, Datadog dan Figma.

Peraturan baharu: setiap ejen AI yang berjalan di dalam syarikat anda harus mempunyai nama, pemilik manusia yang bertanggungjawab ke atasnya, kebenaran yang terhad skopnya, dan tarikh tamat tempoh. Sama seperti pekerja.

Apa maknanya bagi pemilik perniagaan di Arab Saudi

Pada tahun yang ditetapkan oleh Kerajaan Arab Saudi sebagai Tahun Kecerdasan Buatan, syarikat bergerak pantas meletakkan ejen AI dalam khidmat pelanggan, jualan dan operasi. Dan peralihan daripada perintis kepada pengeluaran sebenar ialah tepat titik di mana identiti dan kebenaran tidak lagi menjadi butiran teknikal dan menjadi kebimbangan teras.

Terdapat juga dimensi kawal selia. Undang-undang Perlindungan Data Peribadi (PDPL) menghendaki organisasi mengawal siapa yang mengakses data peribadi dan untuk tujuan apa, serta mampu membuktikannya semasa audit. Jika ejen AI anda membaca data pelanggan melalui kunci dikongsi yang bukan milik sesiapa secara khusus, anda sebenarnya tidak dapat menjawab soalan "siapa yang mengakses data ini?" — dan itu bukan sekadar kelemahan teknikal, ia ialah jurang pematuhan.

Langkah praktikal yang boleh anda mulakan hari ini

Anda tidak memerlukan platform global untuk bermula. Prinsip yang sama terpakai kepada mana-mana sistem dalaman yang dibina dengan betul:

  • Inventori ejen anda: senaraikan setiap alat AI yang disambungkan kepada sistem anda hari ini — bilangannya akan mengejutkan anda.
  • Akaun berasingan bagi setiap ejen: jangan sekali-kali berkongsi akaun pekerja atau kunci serba guna antara beberapa alat.
  • Keistimewaan minimum: jika ejen hanya perlu membaca, jangan beri kebenaran untuk mengubah atau memadam.
  • Token jangka pendek: gantikan kunci kekal dengan token yang tamat tempoh dan diperbaharui secara automatik.
  • Jejak audit penuh: setiap tindakan yang dilakukan ejen direkodkan bersama namanya, cap masa dan sistem yang terjejas.
  • Pemilik manusia: setiap ejen mempunyai pekerja yang bertanggungjawab yang menyemak kebenarannya secara berkala dan boleh menghentikannya.
  • Kelulusan manusia untuk operasi sensitif: pemindahan kewangan, pemadaman data dan penghantaran mesej pukal kepada pelanggan memerlukan titik semakan manusia.

Cara kami melihatnya di Origami

Apabila kami membina sistem tersuai untuk pelanggan dan menyambungkan ejen AI kepadanya, kami melayan ejen itu dari hari pertama sebagai pengguna yang mempunyai akaun, kebenaran dan log — bukan sebagai skrip yang berjalan dengan kunci pentadbir. Keputusan seni bina yang mudah itu menjimatkan pelanggan daripada membina semula kemudian dan menjadikan sistem bersedia untuk audit dari awal, dan bukannya ditampal pada soalan pertama juruaudit atau insiden keselamatan pertama.

Pengumuman Okta penting kerana ia mengubah perkara yang dahulunya bergantung pada pertimbangan pembangun secara individu menjadi piawaian industri yang disokong oleh vendor alat utama. Sesiapa yang membina di atas asas ini hari ini akan mendapati diri mereka secara automatik sejajar dengan apa yang akan menjadi keperluan asas setahun dua dari sekarang.

Kesimpulannya: AI di dalam syarikat anda bukan lagi alat yang anda gunakan, tetapi pihak yang bertindak bagi pihak anda. Dan mana-mana pihak yang bertindak bagi pihak anda memerlukan identiti dan sempadan yang jelas — jika tidak, anda sedang mengurus risiko yang tidak dapat anda lihat.

Sumber